nr postępowania: BU/2013/KW/5 Załącznik nr 4b do SIWZ. Pieczęć Wykonawcy strona z ogólnej liczby stron OPIS PRZEDMIOTU ZAMÓWIENIA Dostawa, instalacja i konfiguracja sprzętu sieciowego oraz systemu zabezpieczeń sieciowych dla Biblioteki Uniwersyteckiej we Wrocławiu wraz z przeszkoleniem pracowników Pakiet 2 - dostawa wielozadaniowego systemu zabezpieczeń sieciowych. WYMAGANIA MINIMALNE: 1) System zabezpieczeń (zapora sieciowa) 1 szt. Dostawa obejmuje: wniesienie, montaż we wskazanym miejscu, konfigurację połączeń przy użyciu przewodów miedzianych i/lub światłowodowych, podłączenie zasilania, konfigurację urządzenia w sieci LAN w szczególności konfigurację stref bezpieczeństwa, adresację, agregację połączeń z wykorzystaniem technologii LACP, integrację z AD, implementację polityki bezpieczeństwa: strefy bezpieczeństwa, adresy IP klientów i serwerów, protokoły i usługi sieciowe, aplikacje, użytkowników aplikacji, rejestrowanie zdarzeń i alarmowanie oraz zarządzanie pasmem sieci. System zabezpieczeń musi być dostarczony jako dedykowane urządzenie zabezpieczeń sieciowych (appliance). W architekturze systemu musi występować sprzętowa separacja modułu zarządzania i modułu przetwarzania danych. Całość sprzętu i oprogramowania musi być dostarczana i wspierana przez jednego producenta. System zabezpieczeń nie może posiadać ograniczeń licencyjnych dotyczących liczby chronionych komputerów w sieci wewnętrznej. System zabezpieczeń musi działać w trybie rutera (tzn. w warstwie 3 modelu OSI), w trybie przełącznika (tzn. w warstwie 2 modelu OSI), w trybie transparentnym oraz w trybie pasywnego nasłuchu (sniffer). Funkcjonując w trybie transparentnym urządzenie nie może posiadać skonfigurowanych adresów IP na interfejsach sieciowych jak również nie może wprowadzać segmentacji sieci na odrębne domeny kolizyjne w sensie Ethernet/CSMA. Tryb pracy zabezpieczeń musi być ustalany w konfiguracji interfejsów inspekcyjnych. Musi istnieć możliwość jednoczesnej konfiguracji poszczególnych interfejsów w różnych trybach. System zabezpieczeń musi realizować zadania kontroli dostępu (filtracji ruchu sieciowego), wykonując kontrolę na poziomie warstwy sieciowej, transportowej oraz aplikacji. System zabezpieczeń firewall zgodnie z ustaloną polityką musi prowadzić kontrolę ruchu sieciowego pomiędzy obszarami sieci (strefami bezpieczeństwa). Polityki muszą być definiowane pomiędzy określonymi strefami bezpieczeństwa. Polityka zabezpieczeń firewall musi uwzględniać strefy bezpieczeństwa, adresy IP klientów i serwerów, protokoły i usługi sieciowe, aplikacje, użytkowników aplikacji, reakcje zabezpieczeń, rejestrowanie zdarzeń i alarmowanie oraz zarządzanie pasma 1
sieci (minimum priorytet, pasmo gwarantowane, pasmo maksymalne, oznaczenia DiffServ). Typ obudowy: stelażowa 19 1U Napięcie i częstotliwość zasilania 200-240VAC /50Hz Zakres temperatur pracy: co najmniej 0-50 stopni Celsjusza Ilość wbudowanych zasilaczy: co najmniej 1 Ilość interfejsów Ethernet 10/100/1000: co najmniej 12 Ilość interfejsów SFP: co najmniej 8 Interfejsy do zarządzania: co najmniej 1 interfejs szeregowy i co najmniej 1 interfejs 1GbE Ilość unikalnych identyfikatorów vlan-id (IEEE 802.1q): co najmniej 4000 Wielkość przełączanej ramki typu Jumbo (MTU): co najmniej 9192 Wielkość tablicy MAC (L2): co najmniej 1500 Obsługa protokołow: IPv4 i IPv6 (routing między sieciami Vlan) Możliwość definiowania statycznych tras dla protokołów: IPv4 i IPv6 Obsługa protokołów: OSPF, BGP, RIP Obsługa protokołu agregacji połączeń (IEEE 802.3ad) Przepustowość sumaryczna urządzenia dla kontroli firewall (w tym kontrola aplikacji): co najmniej 2GBit/s Przepustowość sumaryczna urządzenia dla kontroli zawartości (w tym kontrola AV, IPS i WF): co najmniej 1GBit/s Przepustowość sumaryczna ruchu tunelowanego IPSec: co najmniej 500MBit/s Ilość tuneli IPSec zakończonych na urządzeniu: co najmniej 1000 Maksymalna ilość sesji obsługiwane przez urządzenie: co najmniej 250 000 Ilość jednocześnie obsługiwanych wirtualnych routerów posiadających odrębne tabele routingu: co najmniej 10 Ilość jednocześnie obsługiwanych stref bezpieczeństwa (ang. securityzone) z możliwością stosowania identyfikatorów strefy jako argumentów reguł bezpieczeństwa: co najmniej 40 Możliwość pracy w trybie stanowym (ang.statefull) dla protokołu IPv4 i IPv6 Możliwość budowania reguł bezpieczeństwa w oparciu o następujące kryteria: źródłowy i docelowy adres IPv4 i IPv6, źródłowa i docelowa strefa bezpieczeństwa, źródłowy i docelowy port protokołów transportowych TCP/UDP (L4), aplikacja, użytkownik Identyfikacja aplikacji w oparciu o informacje zawarte w nagłówkach protokołów warstw L4 L7, sygnatury producenta urządzenia i metody heurystyczne. Funkcjonalność ta powinna być obsługiwana dla protokołu IPv4 i IPv6. System zabezpieczeń musi identyfikować co najmniej 1500 różnych aplikacji, w tym aplikacji tunelowanych w protokołach HTTP i HTTPS, nie mniej niż: Skype, Gadu-Gadu, Tor, BitTorrent, emule. Zezwolenie dostępu do aplikacji musi odbywać się w regułach polityki firewall (tzn. reguła firewall musi posiadać oddzielne pole gdzie definiowane są aplikacje i oddzielne pole gdzie definiowane są protokoły sieciowe, nie jest dopuszczalne definiowane aplikacji przez dodatkowe profile). Nie jest dopuszczalna kontrola aplikacji w modułach innych jak firewall (np. w IPS lub innym module UTM). Możliwość definiowania własnych (przez użytkownika) sygnatur aplikacji System zabezpieczeń musi zapewniać inspekcję komunikacji szyfrowanej HTTPS (HTTP szyfrowane protokołem SSL) dla ruchu wychodzącego do serwerów zewnętrznych (np. komunikacji użytkowników surfujących w Internecie) oraz ruchu przychodzącego do serwerów firmy. System musi mieć możliwość deszyfracji niezaufanego ruchu HTTPS i poddania go inspekcji System zabezpieczeń musi posiadać funkcję ochrony przed atakami typu DoS wraz z możliwością limitowania ilości jednoczesnych sesji w odniesieniu do źródłowego lub docelowego adresu IP. System zabezpieczeń musi posiadać możliwość uruchomienia modułu wykrywania i blokowania ataków intruzów w warstwie 7 modelu OSI (IPS) bez konieczności dokupywania jakichkolwiek komponentów, poza subskrypcją. Subskrypcja na okres 3 lat na tę funkcję musi zostać dostarczona razem z urządzeniem. 2
System zabezpieczeń musi identyfikować aplikacje bez względu na numery portów, protokoły tunelowania i szyfrowania (włącznie z P2P i IM). Identyfikacja aplikacji musi odbywać się co najmniej poprzez sygnatury i analizę heurystyczną. System zabezpieczeń musi posiadać możliwość uruchomienia modułu inspekcji antywirusowej, kontrolującego przynajmniej pocztę elektronicznej (SMTP, POP3, IMAP), FTP oraz HTTP i HTTPS bez konieczności dokupywania jakichkolwiek komponentów, poza subskrypcją. Baza AV musi być przechowywania na urządzeniu i regularnie aktualizowana w sposób automatyczny. Subskrypcja na okres 3 lat na tę funkcję musi zostać dostarczona razem z urządzeniem. System zabezpieczeń musi posiadać możliwość uruchomienia modułu filtrowania stron WWW w zależności od kategorii treści stron HTTP bez konieczności dokupywania jakichkolwiek komponentów, poza subskrypcją. Baza WF musi być przechowywania na urządzeniu i regularnie aktualizowana w sposób automatyczny. System zabezpieczeń transparentnie ustala tożsamość użytkowników sieci (integracja z Active Directory, LDAP i serwerami Terminal Services). Polityka kontroli dostępu (firewall) precyzyjnie definiuje prawa dostępu użytkowników do określonych usług sieci i jest utrzymana nawet gdy użytkownik zmieni lokalizację i adres IP. W przypadku użytkowników pracujących w środowisku terminalowym, tym samym mających wspólny adres IP, ustalanie tożsamości musi odbywać się również transparentnie. Ponadto system musi mieć możliwość kształtowania ruchu sieciowego (QoS) dla poszczególnych użytkowników. Zarządzanie systemu zabezpieczeń musi odbywać się z linii poleceń (CLI), graficznej konsoli Web GUI oraz scentralizowanego systemu zarządzania. Dostęp do urządzenia i zarządzanie z sieci muszą być zabezpieczone kryptograficznie (poprzez szyfrowanie komunikacji). System zabezpieczeń musi pozwalać na zdefiniowanie wielu administratorów o różnych uprawnieniach. Możliwość dokonywania zmian konfiguracji w trybie pasywnym tj. w którym wprowadzane zmiany nie są aplikowane natychmiast, a dopiero po zatwierdzeniu ich określonym poleceniem (lub przyciskiem GUI) oraz możliwość powrotu do jednej z używanych wcześniej konfiguracji (ang.rollback) Możliwość eksportowania informacji na zewnętrzne urządzenie z wykorzystaniem protokołu syslog Możliwość wyłączania poszczególnych protokołów zarządzania (TELNET, SSH itp.) System zabezpieczeń musi wykonywać statyczną i dynamiczną translację adresów NAT. Mechanizmy NAT muszą umożliwiać co najmniej dostęp wielu komputerów posiadających adresy prywatne do Internetu z wykorzystaniem jednego publicznego adresu IP oraz udostępnianie usług serwerów o adresacji prywatnej w sieci Internet. Maksymalna ilość reguł NAT: co najmniej 1000 System zabezpieczeń zapewnia możliwość bezpiecznego zdalnego dostępu do chronionych zasobów w oparciu o standard SSL VPN bez konieczności stosowania dodatkowych licencji. System zabezpieczeń musi posiadać możliwość pracy w konfiguracji odpornej na awarie w trybie Active-Passive oraz w trybie Active-Active. Moduł ochrony przed awariami musi monitorować i wykrywać uszkodzenia elementów sprzętowych i programowych systemu zabezpieczeń oraz łączy sieciowych. Pomoc techniczna oraz szkolenia z produktu muszą być dostępne w Polsce. Usługi te świadczone być muszą w języku polskim. W ramach postępowania musi zostać dostarczone jedno kompletne, gotowe do pracy urządzenie. Wraz z produktem wymagane jest dostarczenie opieki technicznej ważnej przez okres 3 lat. Opieka powinna zawierać wsparcie techniczne świadczone telefonicznie oraz pocztą elektroniczną przez producenta oraz jego autoryzowanego polskiego przedstawiciela, wymianę uszkodzonego sprzętu, dostęp do nowych wersji oprogramowania, aktualizację bazy ataków IPS, definicji wirusów oraz bazy kategorii stron WWW, a także dostęp do baz wiedzy, przewodników konfiguracyjnych i narzędzi diagnostycznych. 3
SZKOLENIA: Dostawa systemu zabezpieczeń obejmuje 1 szkolenie autoryzowane dla 2 osób. Miejsce szkolenia: Wrocław. Szkolenia w cyklu 8-godzinnym z zapewnionym jednym gorącym posiłkiem (obiad) dziennie. Tematyka szkolenia trwającego minimum 3 dni: Administracja i zarządzanie GUI, CLI oraz API Zarządzanie konfiguracją System oraz aktualizacje oprogramowania Konfiguracja interfejsu Zarządzanie interfejsem Strefy bezpieczeństwa Warstwa 3 Rutery wirtualne Konfiguracja w warstwie 2 oraz DHCP NAT (dla adresu źródłowego i docelowego) App-ID Procesy App-ID Polityki bezpieczeństwa Administracja Content-ID Antywirus Antyspyware Podatności Filtrowanie URL Blokowanie plików oraz WildFire Filtrowanie danych Ochrona strefowa User-ID Enumeracja użytkowników Mapowanie użytkowników do adresu IP Funkcja Captive Portal User-ID Agent Deszyfrowanie SSL dla ruchu wchodzącego i wychodzącego Wysoka dostępność VPN Centralne zarządzanie Grupy urządzeń i obiekty Polityka współdzielona Zarządzanie konfiguracją Raportowanie Wykonawca powinien podać w ofercie w Kalkulacji cenowej (Załącznik nr 5b do SIWZ), stanowiącej treść oferty, nazwę producenta i model oferowanego sprzętu i oprogramowania oraz załączyć dokumenty potwierdzające, że oferowana dostawa odpowiada określonym przez Zamawiającego wymaganiom tj. opis przedmiotu zamówienia stanowiący załącznik nr 4b do SIWZ oraz aktualny opis urządzeń technicznych np. karty materiałowe opracowane w języku polskim lub angielskim. 4
Potwierdzam, że oferowany sprzęt wraz z oprogramowaniem spełnia WSZYSTKIE wyżej wymienione parametry i wymagania oraz że oferuję wyżej wymienione warunki serwisu... (miejscowość, data).. (pieczęć i podpis osób uprawnionych do podejmowania zobowiązań) 5